V kybernetické bezpečnosti může rozsah zahrnovat hardware, firmware, software, cloudové a řízené služby, vývojové a build systémy, distributory, správce, aktualizační kanály a upstream dodavatele.
Řízení rizik kybernetického dodavatelského řetězce (C-SCRM) je disciplína běžně používaná k řízení těchto rizik; není to pouze hodnocení vendorů. Organizace potřebují jistotu o tom, co akvizují, jak to bylo produkováno a doručeno, jaké závislosti to zavádí, jak budou zranitelnosti a incidenty ošetřeny a zda kritické schopnosti mohou pokračovat či být nahrazeny. Dodavatelé také potřebují kontroly pro své vlastní závislosti a dodávky.
Klíčové body
Pochopte řetězecMapujte kritické produkty a služby, závislosti komponent a dodavatelů, privilegovaná připojení, toky dat, geografické či vlastnické obavy a jediné body selhání.
Vestavujte bezpečnostPoužívejte bezpečné vývojové a inženýrské praktiky, chráněné build a podpisové systémy, provenienci komponent, řízení změn, detekci manipulace a procesy zveřejňování a nápravy zranitelností.
Řiďte akviziciNastavujte požadavky založené na riziku, hodnoťte relevantní důkazy, definujte odpovědnosti smluvně, řiďte schválené zdroje a přehodnoťte velké změny a subdodavatele.
Navrhujte pro narušeníUdržujte alternativy, chráněné materiály obnovy, plány ukončení a otestované procedury pro výpadek dodavatele, kompromitaci, nebezpečnou aktualizaci či ztrátu podpory.
Důležité omezeníSBOM, dodavatelská attestace, certifikace, kontrola země původu či jednorázové hodnocení řeší pouze část rizika dodavatelského řetězce. Nic nedokazuje, že produkt je bezpečný či že závislost zůstane dostupná.